веб-инструмент / 07
Проверка HTTP-заголовков
Просматривайте заголовки конечного ответа URL и находите распространённые политики безопасности браузера.
Проверка HTTP-заголовков: TOEA отслеживает перенаправления HTTP и выводит заголовки конечного ответа, выделяя при наличии Content Security Policy, HSTS, политики фреймов, источника перехода, разрешений и защиты от MIME-сниффинга. Обработка выполняется безопасно по запросу.
- Категория
- Веб-инструменты
- Запуски
- На сервере TOEA
- Стоимость
- Бесплатно · без регистрации
- Доступность
- Готово к использованию
Разумные значения заголовков безопасности
Strict-Transport-Security: max-age=31536000; includeSubDomains заставляет браузеры использовать HTTPS в течение года; добавляйте includeSubDomains только если каждый поддомен работает через HTTPS с действительным сертификатом. Это можно проверить по каждому имени с помощью проверки SSL. У X-Content-Type-Options: nosniff есть только одно допустимое значение. Referrer-Policy: strict-origin-when-cross-origin является настройкой браузера по умолчанию и отправляет другим сайтам только ваш домен. X-Frame-Options: DENY запрещает другим сайтам встраивать ваши страницы; современный эквивалент — frame-ancestors 'none' в Content Security Policy.
Введение в Content Security Policy
CSP указывает, откуда можно загружать скрипты, стили, изображения и фреймы, а строгая политика нарушает работу любой страницы, загружающей ресурс, которого в списке нет. Сначала включите её в режиме Content-Security-Policy-Report-Only: браузеры будут сообщать о нарушениях в консоли или на указанный вами endpoint, ничего не блокируя. Ужесточайте политику, пока отчёты не прекратятся, затем замените заголовок на принудительно применяемый. Заголовки, заданные CDN или прокси, отображаются здесь вместе с заголовками вашего сервера, поэтому удалённый вами заголовок всё ещё может добавляться выше по цепочке.
Как пользоваться
- Введите URL общедоступной страницы или ресурса.
- Выберите «Прочитать заголовки».
- Просмотрите полный список заголовков и сводку распространённых политик безопасности.
Конфиденциальность и ограничения
URL проверяется через API TOEA и не сохраняется. Значения заголовков Set-Cookie и аутентификации прокси скрываются в результате.
Похожие инструменты
Часто задаваемые вопросы
Всегда ли отсутствие заголовка означает уязвимость?
Нет. Подходящие политики зависят от содержимого и конфигурации размещения. Сводка представляет собой перечень, а не сертификацию безопасности.
Какой ответ отображается после перенаправлений?
В списке отображаются заголовки конечного ответа.
Бесплатный инструмент · запусков: на сервере toea · аккаунт не нужен